Stærðfræði daglegrar PII-útsetningar
Rannsóknir Cyberhaven leiddu í ljós að starfsmenn fyrirtækja líma að meðaltali 3,8 viðkvæm gögn inn í ChatGPT á notanda á dag. Fyrir 100 manna þjónustulið er það 380 tilfelli þar sem skrár viðskiptavina fara inn í ChatGPT á hverjum degi.
Hvert tilfelli getur verið GDPR-brot á 5.(1)(c) grein um gagnalágmörkun. Sú grein krefst þess að persónuupplýsingar séu "viðeigandi, viðkomandi og takmarkaðar við það sem nauðsynlegt er."
Þessir eru ekki sérleysinistarmenn sem hunsa reglur. Talan 3,8 endurspeglar venjulega vinnu. Fulltrúar afrita tölvupóst viðskiptavina til að semja svör. Þeir líma kvörtunartext til að fá meðúrræðalegar tillögur. Þeir innihalda reikningsupplýsingar til að fá samhengisvænar svarsýnishorn. Sérhver líming er gilt framleiðniskref sem ber PII óvart með.
Þjálfun breytir ekki hegðun
Úttekt ESB árið 2024 leiddi í ljós að 63% ChatGPT-notendagagna innihélt persónugreinanlegar upplýsingar. Aðeins 22% notenda vissu að þeir gætu afþakkað þátttöku í gegnum stillingar tólsins. Flest efni sem límt er inn í gervigreindarsambandara inniheldur PII. Flestir notendur eru ekki meðvitaðir um ráðstafanirnar. Niðurstaðan er dagleg útsetning á stórum skala.
Stefnuþjálfun rekst á grundvallandvandamál. Lim-og-líma-vaninn er áratugagamall. Notendur hafa límt texta síðan fyrsta dag á tölvu. Þegar gervigreindarspjallverkfæri er bætt við sem límunarmöl bætist nýr áfangastaður við. Vaninn breytist ekki.
Stefna sem segir "límið ekki PII viðskiptavina inn í gervigreindarsambandara" biður fulltrúa um að setja inn flokkunarskref – "inniheldur þessi texti PII?" – í vanlægar aðgerð sem hefur enga náttúrulega hlé. Þjálfunaráhrif ganga til baka. Uppsafnaðar niðurstöður 380 daglegra límunarákvörðun eru reglufylgnihætta sem stefna ein getur ekki haldið.
Þar sem tæknilegar ráðstafanir virka
Lögunin virkar við límunina sjálfa. Vafraviðbót hlerar klemmuspjaldainnihald í þeirri stundu sem fulltrúinn ýtir á líma, áður en textinn nær inntakssviðinu. Fulltrúinn sér forskoðunarglugg. Hann sýnir hvað var greint og hvað verður nafnleyst áður en textinn er sendur.
Þetta er ekki blokkunarráðstöfun. Fulltrúar geta haldið áfram, hnekkt eða stöðvað. Þetta er gagnsæisskref. Það bætir einum sýnileikastigi við annars sjálfvirka aðgerð.
Lítum á þjónustuliðsstjóra þýsks rafverslunarleiðtoga sem semur svör við kvartanir viðskiptavina. Vinnuflæðið er það sama: afritaðu kvörtunina, límdu inn í ChatGPT, búðu til svar. Viðbótin bætir tveggja sekúndna athugun við. Fulltrúinn sér að nöfn, heimilisföng og pöntunarnúmer fundust. Fulltrúinn smellir á halda áfram. Verkfærið fær nafnleysi útgáfuna. Reglufylgnibrotsfall á sér ekki stað.
GDPR reglufylgnileiðbeiningar fjallar um lagalegan grundvöll þessara ráðstafana. Sjá einnig samanburð á gervigreindarstefnu og tæknilegum ráðstöfunum og vafra-DLP leiðbeiningar fyrir ChatGPT vegna innleiðingarupplýsinga.